AI Act: obbligo formazione personale per chi usa l'IA in
Dal 2 febbraio 2025 chiunque usi sistemi AI in ambito professionale è un deployer (AI Act 2024/1689) e deve formare il personale che li utilizza. È legge vigente.
Usi ChatGPT in azienda? Sei un deployer AI
Dal 2 febbraio 2025 chiunque usi un sistema di intelligenza artificiale in contesto professionale, anche solo ChatGPT per le email ai clienti, è classificato come deployer (utilizzatore professionale di AI) ai sensi dell’AI Act, Regolamento UE 2024/1689. Con questo status arriva un obbligo concreto: formare il personale che usa quegli strumenti. Non è una raccomandazione. È legge vigente.
In sintesi
- L’AI Act (Regolamento UE 2024/1689) definisce deployer chiunque usi un sistema di IA in contesto professionale, anche solo ChatGPT per comunicazioni interne.
- L’art. 4 del Regolamento impone ai deployer di promuovere l’AI literacy (alfabetizzazione sull’intelligenza artificiale) del personale coinvolto, senza soglie di fatturato o di organico e senza un livello obbligatorio uguale per tutti.
- Chatbot sul sito, software HR con selezione automatizzata, CRM con segmentazione automatica: tutti configurano la qualifica di deployer.
- Non è necessario sviluppare AI in proprio per essere soggetti all’obbligo. Basta usarla.
- L’art. 99 non prevede una multa propria per l’art. 4: il rischio concreto e che una formazione carente aggravi ogni altra contestazione, dove le sanzioni arrivano a cifre milionarie.
Chi è un deployer secondo l’AI Act
L’AI Act, pubblicato in Gazzetta Ufficiale dell’Unione Europea il 12 luglio 2024, distingue due figure. Il provider (fornitore), cioè chi sviluppa e mette sul mercato un sistema di IA. E il deployer, cioè chi lo usa in un contesto professionale o commerciale.
La definizione è volutamente ampia. L’art. 3, par. 4 del Regolamento indica come deployer “qualsiasi persona fisica o giuridica, autorità pubblica, agenzia o altro organismo che utilizza un sistema di IA sotto la propria responsabilità, tranne nel caso in cui il sistema di IA sia utilizzato nell’ambito di un’attività personale non professionale”. Tradotto in pratico: se usi uno strumento di IA per svolgere attività della tua impresa, sei un deployer. Indipendentemente da quanto sei grande. Indipendentemente da quanto sei consapevole di stare usando IA.
Quattro esempi concreti. Uno studio legale che usa un assistente AI per redigere bozze di contratti è deployer. Un hotel che ha attivato un chatbot (assistente conversazionale automatico) per rispondere alle richieste di prenotazione è deployer. Un’agenzia immobiliare che usa un CRM con funzioni di scoring (punteggio automatico) dei contatti è deployer. Una clinica che adotta un software di gestione delle agende con suggerimenti automatici sugli slot liberi è deployer.
Il punto critico, confermato anche dall’analisi di iusprivacy.eu, è che molte imprese italiane non si percepiscono come utilizzatrici di IA. Eppure lo sono già.
L’obbligo di formazione dell’art. 4: cosa dice esattamente
L’art. 4 del Regolamento UE 2024/1689, nella formulazione originaria, stabiliva che i fornitori e i deployer di sistemi di IA “adottano misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di IA del loro personale e di tutte le altre persone che si occupano del funzionamento e dell’uso dei sistemi di IA per loro conto”. Il Digital Omnibus ha riscritto quel passaggio: il testo oggi vigente tiene fermo l’obbligo di promuovere l’alfabetizzazione, e insieme chiarisce che non è richiesto un livello specifico per alcuna persona.
La cosiddetta AI literacy (alfabetizzazione sull’intelligenza artificiale) è definita dallo stesso Regolamento come l’insieme di competenze, conoscenze e comprensione che consentono ai deployer di fare un uso consapevole dei sistemi di IA, tenendo conto dei rischi e degli impatti possibili. Non è un corso di programmazione. È la capacità di capire cosa fa lo strumento che si usa, quali errori può produrre, e quando non fidarsi del risultato.
Tre elementi pratici emergono da questa norma.
Il primo: l’obbligo è già in vigore. Il 2 febbraio 2025 è la data di applicazione dell’art. 4, non una scadenza futura da pianificare.
Il secondo: la formazione deve essere proporzionata al ruolo. Non tutti i dipendenti devono seguire lo stesso percorso. Chi usa ChatGPT per scrivere comunicati stampa ha bisogno di una formazione diversa rispetto a chi gestisce un sistema di selezione del personale basato su IA. Un receptionist di hotel che monitora le risposte del chatbot ha esigenze diverse da un responsabile HR che usa una piattaforma di screening dei curricula.
Il terzo: la responsabilità è del deployer, non del fornitore dello strumento. OpenAI non è responsabile di come la tua azienda usa ChatGPT. Lo sei tu. Per approfondire la distinzione tra fornitore e deployer e capire dove ricade la tua responsabilità, la guida di avstudio su chi è fornitore e chi è deployer nell’AI Act chiarisce i confini operativi caso per caso.
Gli strumenti che configurano la qualifica di deployer
Molte imprese italiane usano strumenti AI senza averli mai identificati come tali. Una mappa concreta.
Strumenti di comunicazione e produttività. ChatGPT, Microsoft Copilot, il sistema AI integrato in Word, Excel e Outlook, Google Gemini: se vengono usati da dipendenti per produrre testi, analizzare dati o rispondere a clienti, configurano la qualifica di deployer. Un ristorante che usa ChatGPT per scrivere le risposte alle recensioni negative su Google rientra già nella definizione.
Chatbot sul sito web. Un ecommerce con un assistente virtuale per il post-vendita, uno studio professionale con una chat automatica per le prime richieste, un hotel con un bot che gestisce le FAQ sulle camere: tutti deployer. La dimensione dell’impresa non conta.
Software HR con funzioni automatizzate. Piattaforme di selezione del personale che filtrano curricula, sistemi di valutazione delle performance con scoring automatico, strumenti di pianificazione dei turni con ottimizzazione algoritmica. Se il software “suggerisce” o “ordina” automaticamente, probabilmente usa IA. Vale la pena chiedere al fornitore.
Strumenti di cybersicurezza. I sistemi di rilevamento delle minacce informatiche basati su analisi comportamentale automatizzata rientrano nella definizione di sistema di IA del Regolamento. Un’azienda manifatturiera con cinquanta dipendenti che ha attivato un antivirus di nuova generazione con rilevamento anomalie potrebbe essere deployer senza saperlo.
CRM e strumenti di marketing. Piattaforme che segmentano automaticamente i clienti, predicono il comportamento d’acquisto o ottimizzano le campagne pubblicitarie in tempo reale configurano la qualifica di deployer per chi le usa. Un negozio online che usa Klaviyo o HubSpot con funzioni di segmentazione predittiva attiva è deployer.
La verifica che ogni imprenditore dovrebbe fare oggi è semplice: elencare tutti i software usati dall’azienda e chiedere al fornitore di ciascuno se il prodotto include funzioni di IA. La risposta affermativa è più frequente di quanto ci si aspetti.
Cosa fare oggi: tre passi concreti
Il Regolamento non prescrive un formato specifico per la formazione, ma richiede che sia documentata e proporzionata. Questo lascia margine operativo. Richiede però una scelta attiva.
Primo passo: mappare gli strumenti. Identificare quali software usati dall’azienda includono funzioni di IA. Coinvolgere il responsabile IT o il fornitore dei servizi digitali. Questo censimento è il punto di partenza per qualsiasi percorso di conformità. Senza di esso, non si sa nemmeno da dove cominciare.
Secondo passo: identificare il personale coinvolto. Non tutta l’azienda, ma le persone che effettivamente operano con quegli strumenti. Un’impresa con dieci dipendenti potrebbe avere tre persone che usano ChatGPT e una che gestisce il chatbot: sono quelle che devono ricevere formazione prioritaria. Gli altri possono aspettare.
Terzo passo: strutturare e documentare la formazione. La formazione deve essere tracciabile. Un corso online con attestato, un workshop interno con verbale, un percorso strutturato con test finale: qualunque formato scelga l’imprenditore, deve poter dimostrare che è avvenuto. L’obbligo di formazione AI previsto dall’art. 4 e le modalità per documentarlo correttamente sono analizzati nella guida dedicata di avstudio.
La decisione su quali strumenti adottare, come usarli e quali rischi assumere resta in capo all’imprenditore e ai suoi responsabili. L’AI Act non automatizza queste scelte. Le responsabilizza.
Domande correlate
Chi è obbligato alla formazione AI secondo l’AI Act?
Tutti i deployer, cioè le imprese che usano sistemi di IA in contesto professionale, indipendentemente dalle dimensioni. L’obbligo si applica anche a chi usa solo strumenti comuni come ChatGPT o un chatbot sul sito, purché in ambito lavorativo. Non esistono soglie di fatturato o di organico.
Cosa rischia un’azienda che non forma il personale sull’AI?
Le sanzioni previste dall’art. 99 del Regolamento UE 2024/1689 arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale annuo per le violazioni degli obblighi dei deployer. La responsabilità è dell’impresa, non del fornitore dello strumento AI.
Un chatbot sul sito web obbliga alla formazione del personale?
Sì. Chi gestisce e utilizza un chatbot basato su IA in un contesto commerciale è deployer ai sensi dell’art. 3 del Regolamento. Questo include chi configura il chatbot, chi monitora le conversazioni e chi usa i dati raccolti per decisioni operative.
Come si dimostra di aver adempiuto all’obbligo di formazione?
Con documentazione: attestati di partecipazione a corsi, verbali di sessioni formative interne, registri di completamento di percorsi online. Il Regolamento non prescrive un formato specifico, ma la prova dell’adempimento deve essere producibile in caso di controllo.
Un software HR con filtri automatici sui curricula è un sistema di IA?
Dipende dall’implementazione. Se il software usa algoritmi per ordinare, escludere o classificare automaticamente i candidati senza intervento umano diretto, rientra nella definizione di sistema di IA del Regolamento. Il fornitore del software è tenuto a dichiararlo: chiedere esplicitamente prima di acquistare o rinnovare il contratto.
Il contenuto di questo articolo ha finalità informativa e non costituisce parere legale. Per valutare la situazione specifica della tua impresa, rivolgiti a un professionista qualificato.
Fonti:
- Regolamento UE 2024/1689 (AI Act), art. 3, 4, 99: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689 (accesso luglio 2026)
- iusprivacy.eu, “Intelligenza artificiale, AI literacy e formazione”: https://www.iusprivacy.eu/intelligenza-artificiale-ai-literacy-formazione (accesso luglio 2026)
- fiscoetasse.com, “Alfabetizzazione digitale e AI Act: nuovi obblighi per imprese e operatori”: https://www.fiscoetasse.com/approfondimenti/16864-alfabetizzazione-digitale-e-ai-act-nuovi-obblighi-per-imprese-e-operatori.html (accesso luglio 2026)